ГОСТ Р 53131— 2008
низации. Лицо, ответственное за обеспечение ИБ организации, должно довестидо сведения руководите ля
отдела информатизации порядок реализации мер обеспечения ИБ ИТС и согласовать с ним порядок
соответствующих действий.
4.3.3 Совет директоров (или равный ему по значимости орган) должен санкционировать порядок
реализации мер обеспечения ИБ ИТС в условиях ЧС и в периоды восстановления деятельности органи
зации.
4.4 Идентификация недостатков
4.4.1 Основа стратегии менеджмента непрерывности винформационной сфере организации — обес
печение стабильностидеятельности в границах всей информационной инфраструктуры организации. Не
обходимо проводить внутренние проверки всех возможных недостатков ототдельных точек прерываний
до избыточности, зависимости от каналов поставки и общих процессов, связанных со вспомогательными
служебными операциями винформационной сфере, такими, кактехнологии безопасного резервирования и
восстановления.
4.4.2 Необходимо планировать, проверять и оценивать улучшение информационной инфраструкту
ры организации. Для этогодолжны быть разработаны четкие планы работ в условиях ЧС и определена
потребность в использовании конкретных мер безопасности в условиях восстановления после ЧС.
Необходимодостичь соглашения об уровнях инвестиций и приоритетах, связанных с затратами на
обеспечение непрерывности в информационной сфере и конкретными затратами на обеспечение ИБ ИТ.
на уровне совета директоров или высшего исполнительного органа.
4.5 Непрерывность сервисов в изменяющейся средо и обеспечение информационной
безопасности информационных ителекоммуникационных систем
Ключевые факторы, которыедолжны быть рассмотрены для обеспечения уверенности втом. что
стратегия менеджмента непрерывности в информационной сфере организации и планы восстановления
деятельности остаются актуальными и эффективными для организации по мере внесения изменений в
деятельность организации и ее среду, включают:
- ответственность и подотчетность на уровне совета директоров застратегию менеджмента непре
рывности в информационной сфере эксплуатационной среды организации в целяхоценки ее актуальнос ти
при изменениях, развитии и росте организации:
- лиц. ответственных застратегию менеджмента непрерывности в информационной сфере эксплуа
тационной среды организации. Никакое внесение изменений в информационную инфраструктуру недол
жно рассматриваться до тех пор. пока последствия изменения не будут оценены и поняты, а планы работ в
ЧС не будут проверены:
- обеспечение процесса сопровождения приобретения новых систем проверкой отсутствия компро
метации непрерывности в информационной сфере организации;
- учет последствийдеятельности, связанной со слияниями и поглощениями организаций. Зачастую
деятельность, связанная со слияниями и поглощениями организаций, может обеспечить ощутимые пре
имущества, выражающиеся в экономии денежных средств. С другой стороны, слияние и поглощение
организаций может снизить способности организации по обеспечению требуемой непрерывности в ин
формационной сфере вследствие утраты резервных узлов, дублирующих систем и создаваемой ими
избыточности:
- оценку способности поставщиков поддерживать соответствующие уровни услуг;
- внутренний’внешний аудит планов организации.
5 Понимание рисков непрерывности и их влияния на цели деятельности
организации и восстановление защитных мер обеспечения
информационной безопасности информационных
и телекоммуникационных систем
5.1 Виды риска, которые необходимо идентифицировать вконтексте обеспечения непрерывности в
информационной сфере организации, должны учитывать изменения:
- бизнес-процесса или деятельности организации, включая риски в пределах от катастрофического
отказадо незначительного нарушения;
- зависимостей, включая риски, последствия которых колеблются в пределах от потери основного
поставщика товаров или провайдера услугдо временного сбоя информационного потока отдругого биз
нес-процесса^__________________________________________________________________________________
9